用途：面向 Google Workspace 的 GAT 风格审计与生命周期自动化，适合离职处理、外部 Drive 共享排查、第三方 OAuth 应用风险评分、登录异常与休眠账号审查、账号失陷后的活动重建，以及跨 Directory、Drive、Gmail、Reports、Alert Center 的离线报告。与无状态工具不同，它把元数据同步到本地 SQLite，便于跨 API 关联与持久化审计。
主要能力：workflow offboard 一条命令完成离职用户全流程（停用、登出、撤销 OAuth 令牌、转移 Drive 所有权、设置 Gmail 委派、移出群组、移入停用 OU）；audit user360 汇总单个用户的 Drive 足迹与配额、安全状态、已连接 OAuth 应用、设备、Gmail 设置、群组成员与近期活动；audit external-shares 查找“任何人可链接访问”或共享给外部域的文件并关联所有者与组织单位；audit reconstruct 合并登录、管理员、Drive 与令牌活动为有序时间线；audit email-exposure 扫描转发、sendAs、委派与过滤器中的 BEC 指标；audit app-risk 按风险等级汇总第三方 OAuth 应用并统计授权用户；audit logins 发现失败登录爆发、新国家登录与休眠账号；groups expand 递归展开嵌套群组的有效成员。命令普遍支持 --json、--select、--dry-run 与类型化退出码。
使用方式：先安装 CLI。npx -y @mvanhorn/printing-press-library install workspace-admin --cli-only，验证 workspace-admin-pp-cli --version。若 npx 失败，可用 Go 1.26.6+ 执行 go install github.com/mvanhorn/printing-press-library/library/productivity/workspace-admin/cmd/workspace-admin-pp-cli@latest。确保安装目录在 $PATH 中。
限制：不适用于实时浏览器 DLP、关键词拦截、截图或屏幕阻断；不作为邮件流网关在投递前拦截钓鱼；未配置域范围委派与模拟的服务账号时，不能读取他人文件或邮件内容；不用于 Google Cloud / IAM 资源管理。部分事实（如收费、价格、平台支持细节）暂未提供。